遗留C++应用连接第三方站点报SSL23_GET_SERVER_HELLO握手错误排查

你遇到的routines:SSL23_GET_SERVER_HELLO:tlsv1 unrecognized name:s23是OpenSSL在TLS握手阶段的典型报错，触发原因是你的C++应用在握手时未向服务端发送SNI（服务器名称指示）扩展字段。
供应商升级站点安全配置后，通常会开启两项强制校验：

• 拒绝所有未携带SNI的TLS握手请求
• 仅根据SNI字段匹配对应虚拟主机路由（CDN、多租户托管站点的通用配置）
  CURL、OpenSSL命令行、Python客户端可以正常连接，是因为这些工具默认会自动将目标域名作为SNI字段发送，而你的遗留C++应用的OpenSSL封装逻辑漏了这一关键步骤。
  你贴出的TCP层connectSocket代码本身完全正常，问题出在后续未展示的TLS上下文初始化、握手流程部分。

• 先验证根因：使用强制关闭SNI的OpenSSL命令复现问题
  执行openssl s_client -connect 供应商域名:服务端口 -noservername，如果能复现完全相同的报错，即可100%确认SNI缺失是直接原因。
• 补全SNI设置：在TCP连接完成、调用SSL_connect发起TLS握手前，通过OpenSSL API注入SNI字段
  对应示例代码：

  // 从已建立的TCP连接对象上获取对应的SSL句柄、目标域名
  if (SSL_set_tlsext_host_name(ssl_handle, target_hostname) != 1) {
      // 增加错误捕获逻辑，可通过ERR_get_error()获取详细报错
  }
  

• 替换老旧的TLS上下文初始化方式
  报错中出现的SSL23_GET_SERVER_HELLO字段，是OpenSSL极老版本的SSLv2/SSLv3兼容模式的特征。如果你的代码还在用SSLv23_client_method()创建上下文，需要替换为支持现代TLS版本的TLS_client_method()，同时通过SSL_CTX_set_options明确排除SSLv3、TLS 1.0、TLS 1.1等已废弃的协议版本，匹配供应商的安全策略。
• 升级过旧的OpenSSL依赖
  OpenSSL 0.9.8及更早版本对SNI的支持不完善甚至缺失，需要将运行时的OpenSSL版本升级到1.0.2及以上（推荐1.1.1长期支持版本），避免兼容问题。

你贴的connectSocket代码存在一处小的日志bug：TCP连接成功分支输出的日志，错误引用了前面拼接的失败提示字符串msg.str()，实际应该输出msg1.str()才会正确打印连接成功的日志内容，不过这一bug不影响当前TLS报错。

内容的提问来源于stack exchange，提问作者Sudhagar Nagarajan